DSGVO

Cloudflare und die DSGVO

· 2 Min. Lesezeit

Mit Einwilligung und Vertrag zu betreiben. Cloudflare sitzt nicht neben der Website, sondern davor — sämtlicher Verkehr läuft hindurch, entschlüsselt.

  • Anbieter: Cloudflare, Inc.
  • Zweck: CDN, Schutz vor Angriffen, DNS
  • Setzt Cookies: teilweise — der Bot-Schutz setzt eines
  • Einwilligung nötig: umstritten

Was übertragen wird#

  • IP-Adresse
  • vollständigen Seitenaufruf
  • bei aktivem SSL auch die entschlüsselten Inhalte

Ein Schutz vor Überlastungsangriffen lässt sich als berechtigtes Interesse nach Art. 6 Abs. 1 lit. f begründen; ein CDN, das nur die Ladezeit verbessert, schwerer. Wer Cloudflare nur wegen der Geschwindigkeit einsetzt, steht auf dünnerem Grund als wer damit Angriffe abwehrt.

Was zu tun ist#

  • Einen Auftragsverarbeitungsvertrag abschließen — Cloudflare stellt ihn bereit.
  • Den Einsatz in der Datenschutzerklärung benennen, mit dem Zweck: Angriffsabwehr oder Auslieferung.
  • In den Einstellungen prüfen, welche Zusatzdienste mitlaufen — Web Analytics und Bot-Management sind eigene Verarbeitungen.

Wenn es auch ohne gehen soll#

  • Ein CDN mit Sitz in der EU
  • Angriffsschutz beim Hoster selbst

So findest du heraus, ob es auf deiner Seite läuft#

Im Browser Strg+U für den Quelltext, dann Strg+F nach cdnjs.cloudflare.com oder der Server-Header cloudflare. Ein Treffer genügt.

Das findet allerdings nur, was im ausgelieferten Quelltext steht — nicht, was ein Skript später nachlädt. Vollständig prüft der Datenschutz-Check: er lädt die Seite wie ein Browser und protokolliert jede Verbindung, die dabei entsteht.

Der Punkt, der bei Cloudflare übersehen wird#

Der Fall, den die meisten Prüfungen übersehen, weil Cloudflare im Quelltext oft gar nicht auftaucht. Sichtbar wird es erst am Antwort-Header oder an der DNS-Auflösung.

Das ist keine Rechtsberatung, sondern eine technische Einordnung: Wir messen, was eine Website überträgt, und geben den Stand wieder, soweit er uns bekannt ist. Ob dein Einsatz zulässig ist, hängt vom Einzelfall ab. Wie die Regeln zusammenhängen und was der Angemessenheitsbeschluss von 2023 geändert hat, steht auf der Übersicht zur Serie.